Los piratas informáticos utilizan la cripta FUD para generar malware firmado por Microsoft con persistencia integrada y C2

Una plataforma de malware como servicio recientemente descubierta llamada FUD Crypt ofrece a los ciberdelincuentes una manera fácil de crear malware sofisticado para Windows sin escribir una sola línea de código. La plataforma, que opera desde fudcrypt.net, acepta cualquier ejecutable de Windows cargado por un suscriptor y devuelve un paquete de implementación polimórfico completamente empaquetado.

Por tarifas mensuales que oscilan entre $ 800 y $ 2000, los suscriptores reciben malware que incluye certificados firmados por Microsoft, persistencia automática y un canal de comando y control (C2) en vivo, todo configurado antes de que el atacante emita una sola instrucción. Fundamentalmente, los investigadores descubrieron que el operador de la plataforma se inscribió en el servicio Azure Trusted Signing de Microsoft, pasó la verificación de identidad utilizando identidades del mundo real y lo utilizó para producir firmas Authenticode basadas en Microsoft en archivos binarios de malware. Utiliza dos métodos independientes para deshabilitar la interfaz de escaneo antimalware de Windows (AMSI): uno a través de un parche de memoria directo que obliga a AmsiScanBuffer a devolver un error inmediatamente, y otro usando puntos de interrupción del hardware de la CPU con un controlador de excepciones vectorizado que intercepta la ejecución sin tocar amsi.dll directamente. El seguimiento de eventos para Windows (ETW) se silencia con un parche de un solo byte, lo que corta la telemetría en modo de usuario.

Las compilaciones empresariales también registran una tarea programada llamada MicrosoftEdgeUpdateCore configurada para ejecutarse con el privilegio más alto en cada inicio de sesión, imitando un servicio de actualización de Edge legítimo. La publicación Los piratas informáticos utilizan la cripta FUD para generar malware firmado por Microsoft con persistencia integrada y C2 apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗